Gamdom geconfronteerd met afpersingseis van 15 miljoen dollar na vermeende diefstal van spelersgegevens

Een afpersingsgroep die zichzelf WhiteArmor noemt, eist 15 miljoen dollar van cryptocasino Gamdom vanwege een naar eigen zeggen gestolen database met 15,4 miljoen spelersaccounts.

De groep zou gegevens van 100 accounts hebben gepubliceerd als vermeend bewijs. De echtheid daarvan is nog niet bevestigd en Gamdom heeft de vermeende diefstal van de database niet publiekelijk bevestigd of ontkend.

Diensten die cyberdreigingen volgen, registreerden op 26 oktober dat Gamdom op de leksite van WhiteArmor verscheen. Dergelijke vermeldingen leggen een bewering van een criminele groep vast, maar stellen niet onafhankelijk vast dat er een inbraak heeft plaatsgevonden of dat de aangeboden gegevens echt zijn. 

Aanvallers claimen toegang via een beheerdersaccount

Volgens het verslag van Dark Web Informer zegt WhiteArmor via een intern serviceaccount met beheerdersrechten toegang te hebben gekregen tot de beheerpanelen van Gamdom en opslagplaatsen met wachtwoorden en sleutels.

De aanvallers beweren dat het account al meerdere jaren bestond zonder dat de inloggegevens waren gewijzigd. Geen onafhankelijk technisch onderzoek heeft die verklaring onderbouwd.

WhiteArmor uitte ook beschuldigingen over de aantoonbaar eerlijke spellen van Gamdom en beweerde dat deze niet werkten zoals geadverteerd. De groep leverde geen bewijs voor die bewering.

Afzonderlijke walletinbraak eerder in oktober

De afpersingseis kwam 13 dagen na een bevestigde aanval op de hotwalletinfrastructuur van Gamdom naar buiten.

Gamdom legde op 13 oktober de activiteiten stil nadat een ongeautoriseerde verbinding met een automatiseringsserver was ontdekt. Oprichter Felix Römer schatte het verlies later op iets meer dan 3 miljoen dollar, terwijl blockchainonderzoeker vxdb uitging van ongeveer 4,2 miljoen dollar. De aanbieder verklaarde dat de resterende tegoeden uit de hotwallets naar cold storage waren verplaatst en dat klanttegoeden veilig waren. 

De website hervatte de activiteiten op 16 oktober. WhiteArmor heeft de vermeende databasediefstal niet expliciet gekoppeld aan het walletincident. De timing alleen bewijst daarom niet dat dezelfde aanvaller of toegangsroute betrokken was.

Recent waargenomen groep

WhiteArmor verscheen in oktober voor het eerst in openbare registraties van cyberdreigingen. WatchGuard classificeert de groep als een datahandelaar, terwijl andere monitoringdiensten de activiteiten omschrijven als afpersing door middel van datadiefstal. 

De gemelde eis, het geclaimde aantal accounts en de vermeende toegangsmethode blijven ongeverifieerd. De bevestiging van de eerdere walletdiefstal bewijst niet dat de nieuwe beweringen over de database kloppen.